Turla utiliza el malware Cereal para espiar servidores Exchange gubernamentales

10 de noviembre de 2026. El grupo ruso de ciberespionaje Turla ha utilizado un nuevo conjunto de herramientas maliciosas denominado Cereal contra servidores Microsoft Exchange de organizaciones gubernamentales. ESET documentó inicialmente el malware en un organismo público de Kazajistán a finales de 2025 y detectó el mismo kit un mes después en una agencia gubernamental de Rumanía, comprometida el 23 de diciembre de 2025.

En Rumanía, la operación recopiló selectivamente correos electrónicos relacionados con representantes de la Organización del Tratado del Atlántico Norte (NATO) y la Unión Europea (EU). El componente CerealBox se inyecta en el proceso EdgeTransport.exe de Exchange y secuestra los controladores de agentes de transporte existentes, lo que permite inspeccionar mensajes sin registrar un agente nuevo ni interrumpir la entrega normal del correo.

Turla configuró el malware para buscar mensajes con adjuntos DOC, DOCX y PDF, además de aplicar criterios sobre remitentes, destinatarios y asuntos. Otro componente, CerealNeuron, recibe solicitudes web cifradas en rutas que imitan servicios legítimos de Exchange, descifra los comandos y ejecuta CerealRunner, un programa contenedor que carga código .NET en la memoria y devuelve los resultados a los atacantes.

Entre las acciones disponibles figuran la recuperación de correos, las consultas a Active Directory sobre usuarios, grupos y registros DNS, la extracción de credenciales almacenadas localmente y la lectura o eliminación de archivos. ESET no observó una infraestructura externa de mando y control, por lo que el propio servidor Exchange comprometido actuaba como punto de control.

Los investigadores también identificaron CerealHermit, una variante de CerealNeuron sin capacidades de red que lee comandos desde archivos cifrados en el disco. ESET considera que puede funcionar como mecanismo de respaldo cuando el canal web de Neuron deja de estar disponible. Según la compañía, el kit está orientado al ciberespionaje sigiloso a largo plazo y emplea técnicas avanzadas de ocultación y ejecución de .NET.

Fuente: BleepingComputer.